Коротко о выводах исследования
По результатам исследования, российский магазин приложений RuStore может незаметно устанавливать приложения на Android — в том числе мессенджер Max — без показа запросов или уведомлений пользователю.
Скрытая установка
Исследователь описывает механизм «тихой» установки: магазин инициирует загрузку и установку приложений, не показывая стандартных диалогов и уведомлений. По его мнению, именно этот способ использовался для скрытой установки мессенджера.
Определение местоположения
RuStore регулярно фиксирует местоположение пользователя даже при выключенном GPS. Магазин определяет координаты по сети, сотовым вышкам и по MAC‑адресу роутера, что, по мнению автора, позволяет точно геопозиционировать устройство.
«Этого набора достаточно для точного геопозиционирования даже при выключенном GPS»
Слежка за приложениями и устройством
Исследование показывает, что магазин отправляет на сервер «полный слепок» устройства: какие VPN, банковские приложения, защищённые мессенджеры или сторонние магазины установлены, а также аппаратный идентификатор и данные о частоте и длительности запуска приложений.
«Мы имеем наглую, ничем не оправданную слежку за вашей активностью»
Мониторинг галереи
Внутри магазина обнаружен антивирусный SDK, который постоянно сканирует каталоги DCIM и Pictures — то есть папки, где хранятся личные фотографии пользователя. По мнению автора, разработчики просто встроили сторонний SDK «как есть», что привело к нестандартной и потенциально небезопасной архитектуре.
«В результате получился архитектурный Франкенштейн, нарушающий все мыслимые правила»
Можно ли удалить цифровой отпечаток?
Если выводы исследования верны, то отсканированный «слепок» уже отправлен на сервер и привязан к аппаратному ID устройства, то есть полностью удалить его нельзя.
Как отключить RuStore на Android
Авторы описывают способ отключения через Android Debug Bridge (ADB):
- Подключите Android‑смартфон по USB в режиме отладки (USB debugging).
- В терминале на компьютере выполните команды:
adb devicesadb shell pm disable‑user --user 0 ru.vk.store - После выполнения команд режим отладки можно отключить.
На iPhone RuStore не доступен, но ряд других российских приложений ещё не исследован и потенциально может представлять угрозу безопасности.
Контекст
С апреля 2024 года RuStore должен предустанавливаться на все телефоны, продаваемые в РФ. С сентября прошлого года правительство также обязало предустанавливать мессенджер Max.
